JIS Q 27002とは？
JIS Q 27002とは、情報セキュリティ管理策の実践のための規範を示す規格。JIS Q 27001が要求する管理策について、具体的な実施方法の指針・ベストプラクティスを提供する。
情報セキュリティマネジメント試験の過去問では9回出題されています（2016年度〜2023年度）。
じすきゅーにななぜろぜろに
JIS Q 27002の意味
情報セキュリティ管理策の実践のための規範を示す規格。JIS Q 27001が要求する管理策について、具体的な実施方法の指針・ベストプラクティスを提供する。
JIS Q 27002の具体例
「アクセス制御」という管理策を実施する際、JIS Q 27002を参照することで、パスワードポリシの設定方法や権限付与の考え方など具体的な実務指針を得られる。
JIS Q 27002は試験でどう引っ掛けられる？
JIS Q 27002はそれ自体で認証を取得する規格ではなく、あくまでJIS Q 27001の管理策実施を補助するガイドラインである。
JIS Q 27002と関連する用語
JIS Q 27002が出た過去問
情報セキュリティ意識向上のための教育の実施状況をJIS Q 27002に従ってレビューした。情報セキュリティを強化する観点から、改善が必要な状況はどれか。
正解：正規従業員と同様の業務に従事している派遣従業員を除いて、教育を実施していた。
要点：教育対象は雇用形態を問わず情報を扱う全員
JIS Q 27002は、意識向上・教育・訓練の対象を「組織の全ての従業員、及び関連する場合は契約相手」としており、雇用形態にかかわらず組織の情報を扱う者は対象に含まれる。正規従業員と同じ業務に就く派遣従業員だけを教育から外せば、その部分が情報セキュリティの弱点になる。攻撃者は最も守りの薄いところを突くため、教育対象に穴を作らないことが重要である。
出典：平成28年度 秋期 情報セキュリティマネジメント試験 午前 問10（IPA）情報システムに対するアクセスのうち、JIS Q 27002でいう特権的アクセス権を利用した行為はどれか。
正解：システム管理者が、業務システムのプログラムのバージョンアップを行う。
要点：特権的アクセス権はシステム設定や更新を行える管理者権限
特権的アクセス権とは、システムの設定変更やソフトウェアの導入・更新など、通常の利用者権限では実行できない管理的な操作を可能にする権限を指す。重要情報を扱うかどうかではなく、システムの制御を握る権限かどうかで判断する。
出典：平成28年度 春期 情報セキュリティマネジメント試験 午前 問8（IPA）JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）の“サポートユーティリティ”に関する例示に基づいて，サポートユーティリティと判断され…
正解：サーバ室の空調
要点：サポートユーティリティは電力や空調などの支援設備を指す
サポートユーティリティは、情報処理設備を支える電力・空調・給水・換気などの支援設備を指す。停止すればシステムの可用性が直接損なわれるため、能力の適合性の確認や定期点検といった管理策が求められる。
出典：平成29年度 秋期 情報セキュリティマネジメント試験 午前 問12（IPA）JIS Q 27017:2016（JIS Q 27002に基づくクラウドサービスのための情報セキュリティ管理策の実践の規範）が提供する“管理策及び実施の手引”の…
正解：外部のクラウドサービスを利用する事業者と，クラウドサービスを他社に提供する事業者とのどちらにも適用できる。
要点：JIS Q 27017はクラウドの利用側・提供側の双方が対象
JIS Q 27017はクラウドサービスに関わる情報セキュリティ管理策の実践規範で、クラウドサービスカスタマ（利用者側の事業者）とクラウドサービスプロバイダ（提供者側の事業者）の双方を対象としている。各管理策に対して、カスタマ向けの手引とプロバイダ向けの手引が併記される構成になっている。したがって、利用するだけの事業者にも、提供するだけの事業者にも適用できる。
出典：平成30年度 秋期 情報セキュリティマネジメント試験 午前 問3（IPA）JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）でいう特権的アクセス権の管理について，情報システムの管理特権を利用した行為はどれか。
正解：システム管理者が，業務システムのプログラムにアクセスし，バージョンアップを行う。
要点：特権とはシステム制御を上書きできる管理者権限のこと
特権的アクセス権とは、システムやアプリケーションの制御を上書き・回避できる管理者権限を指す。システム管理者がプログラムのバージョンアップを行う行為は、この管理特権を使った作業に当たる。業務上の権限で通常のデータにアクセスする行為は、権限の重要度にかかわらず特権的アクセスではない。
出典：平成30年度 春期 情報セキュリティマネジメント試験 午前 問7（IPA）
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。